34
Cryptolocker Verhinderungsstrategie
Hallo Leute,
Wir haben wieder mal einen Cryptolocker eingefangen und das Problem mit einem Restore aller betroffenen Laufwerke lösen können. Interessanterweise war das jetzt eine Version die auch Shares attackiert hat die der User nicht gemappt hatte. Wir haben in den letzten Monaten einiges aufgerüstet:
- Niemand arbeitet mehr mit lokalen Admin Rechten
- Virenschutz ist auf dem letzten Stand und hat einen Ransomware Schutz
- Zugang über einen Proxy gelöst der zusätzlich den Internettraffic nach Viren überprüft
Kommende Schutz Maßnahmen:
- Patchmanagement
- Applocker
Jetzt meine Frage dazu:
Gibt es keine Software die die Verschlüsselung von Dateien verhindern oder zumindest erkennen kann?
nice greetz jojo
Wir haben wieder mal einen Cryptolocker eingefangen und das Problem mit einem Restore aller betroffenen Laufwerke lösen können. Interessanterweise war das jetzt eine Version die auch Shares attackiert hat die der User nicht gemappt hatte. Wir haben in den letzten Monaten einiges aufgerüstet:
- Niemand arbeitet mehr mit lokalen Admin Rechten
- Virenschutz ist auf dem letzten Stand und hat einen Ransomware Schutz
- Zugang über einen Proxy gelöst der zusätzlich den Internettraffic nach Viren überprüft
Kommende Schutz Maßnahmen:
- Patchmanagement
- Applocker
Jetzt meine Frage dazu:
Gibt es keine Software die die Verschlüsselung von Dateien verhindern oder zumindest erkennen kann?
nice greetz jojo
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 302983
Url: https://administrator.de/contentid/302983
Ausgedruckt am: 21.11.2024 um 14:11 Uhr
34 Kommentare
Neuester Kommentar
Hallo,
Proxy schützt nur vor Links und Stopt auch nur was er kennt.
Der kann helfen, kann aber im Moment durch eine Lücke umgangen werden.
Die Sensibilisierung der Mitarbeiter ist mit das wichtigste und ggf harte Sanktionen bis es klick macht.
Gruß
Chonta
- Niemand arbeitet mehr mit lokalen Admin Rechten
Ok, aber das ist den Cryptoteilen auch EGAL die brauchen nur Schreibzugriff und erschleichen sich wennmöglich Adminrechte.- Virenschutz ist auf dem letzten Stand und hat einen Ransomware Schutz
Was die Enginge nicht kennt hält sie nicht auf.- Zugang über einen Proxy gelöst der zusätzlich den Internettraffic nach Viren überprüft
Ok Und wie ist der Trojaner bei Euch ins Netzwerkgekommen? Über einen Link in einer Mail oder Dateianhang?Proxy schützt nur vor Links und Stopt auch nur was er kennt.
Kommende Schutz Maßnahmen:
- Patchmanagement
Für jede Software oder was genau? Wrude vorher ide Software nie aktualisiert?- Patchmanagement
- Applocker
Ab hier wird es interesannt.Der kann helfen, kann aber im Moment durch eine Lücke umgangen werden.
Die Sensibilisierung der Mitarbeiter ist mit das wichtigste und ggf harte Sanktionen bis es klick macht.
Gruß
Chonta
- Applocker
Argh. Eben nicht. Artikel bitte vollständig lesen. Wer die Defaultrichtlinien unangepasst nutzt, der ist selbst Schuld. Microsoft rät davon ab.Ab hier wird es interesannt.
Der kann helfen, kann aber im Moment durch eine Lücke umgangen werden.
1
Danke für die Korrektur!
Zitat von @DerWoWusste:
Argh. Eben nicht. Artikel bitte vollständig lesen. Wer die Defaultrichtlinien unangepasst nutzt, der ist selbst Schuld. Microsoft rät davon ab.
Argh. Eben nicht. Artikel bitte vollständig lesen. Wer die Defaultrichtlinien unangepasst nutzt, der ist selbst Schuld. Microsoft rät davon ab.
Hallo @DerWoWusste,
ich glaube, du wirst die nächsten Tage noch viel Arbeit haben.
Würde mir an deienr Stelle ein schönes Standard-Sätzchen überlegen und Griffbereit halten.
Aber war da auch nicht was mit Malwarebytes AntiRansomware und Konsorten *duck und weg*
Gruß
@kontext
Moin,
seit zwei Wochen fliegen bei mir zusätzlich alle email-Anhänge ausser *.pdf und vier bitmap-Formaten in Quarantäne. Information dazu auf der Homepage, in einem newsletter und in der Praxis.
LG, Thomas
seit zwei Wochen fliegen bei mir zusätzlich alle email-Anhänge ausser *.pdf und vier bitmap-Formaten in Quarantäne. Information dazu auf der Homepage, in einem newsletter und in der Praxis.
LG, Thomas
Villeich noch einen Link zu Deinem Beitrag "Application Whitelisting - Umgang mit Systemdateien" hinzufügen. wo Du das alles beschreibst. 
lks
lks
Zitat von @keine-ahnung:
seit zwei Wochen fliegen bei mir zusätzlich alle email-Anhänge ausser *.pdf und vier bitmap-Formaten in Quarantäne.
seit zwei Wochen fliegen bei mir zusätzlich alle email-Anhänge ausser *.pdf und vier bitmap-Formaten in Quarantäne.
Da denke ich seit geraumer Zeit auch drüber nach. Kann mich nur nicht entscheiden ob das eine gute Idee ist oder nicht.
Hallo Leute,
Danke für eure Beiträge... zu meiner eigentlichen Frage wisst ihr nichts? Wieso erfindet sowas keiner... derjenige der das erfindet wird Reicher als die Crypto Erpresser.
Gibt es eine Möglichkeit andere Dateiformate als definiert zu verhindern am Windows Fileserver?
Das mit den Mailanhängen habe ich teilweise schon probiert.. zum Beispiel alle Markos in Word Dateien gelöscht. Das hat mir dann aber jede Woche eine Diskussion mit einigen Usern eingefangen die auf diese Makros bestehen. Also auch noch Word Dokumente etc. zu sperren halte ich für unmöglich.
Bei dem aktuellen Teil weiß ich gar nicht genau wie sie gekommen sind. Die einzigen Mails die durchgingen am Wochenende waren von irgendeinem Maxdome Angebot ... Die User die in Frage kommen wissen wie immer von nichts.
nice greetz jojo
Danke für eure Beiträge... zu meiner eigentlichen Frage wisst ihr nichts? Wieso erfindet sowas keiner... derjenige der das erfindet wird Reicher als die Crypto Erpresser.
Gibt es eine Möglichkeit andere Dateiformate als definiert zu verhindern am Windows Fileserver?
Das mit den Mailanhängen habe ich teilweise schon probiert.. zum Beispiel alle Markos in Word Dateien gelöscht. Das hat mir dann aber jede Woche eine Diskussion mit einigen Usern eingefangen die auf diese Makros bestehen. Also auch noch Word Dokumente etc. zu sperren halte ich für unmöglich.
Bei dem aktuellen Teil weiß ich gar nicht genau wie sie gekommen sind. Die einzigen Mails die durchgingen am Wochenende waren von irgendeinem Maxdome Angebot ... Die User die in Frage kommen wissen wie immer von nichts.
nice greetz jojo
Zitat von @jojo0411:
Das mit den Mailanhängen habe ich teilweise schon probiert.. zum Beispiel alle Markos in Word Dateien gelöscht. Das hat mir dann aber jede Woche eine Diskussion mit einigen Usern eingefangen die auf diese Makros bestehen. Also auch noch Word Dokumente etc. zu sperren halte ich für unmöglich.
Das mit den Mailanhängen habe ich teilweise schon probiert.. zum Beispiel alle Markos in Word Dateien gelöscht. Das hat mir dann aber jede Woche eine Diskussion mit einigen Usern eingefangen die auf diese Makros bestehen. Also auch noch Word Dokumente etc. zu sperren halte ich für unmöglich.
Ich halte es durchaus für möglich. Einfach sperren und den Usern einen Wisch vor dem Freischalten unterschreiben lassen, daß sie persönllich für den Schaden aufkommen müssen, wenn sie auf durchgelassene Word-Dokumente bestehen.
lks
Nachtrag Es reicht manchmal einfach der GL vorzurechnen, was die das kostet, wenn die Maßnahme nicht durchgeführt wird.
Natürlich gibt es solche Software, aber deren Zuverlässigkeit zu beurteilen ist nicht leicht. Applockers Zuverlässigkeit hingegen kann leicht beurteilt werden. Nutze Applocker.
Hallo Leute,
Im Bezug auf App Locker habe ich das Problem das wir aktuell größtenteils Windows Pro verwenden und es dort nicht funktioniert. Ich habe mir Lösungen von Trend Micro (Application Control) angesehen und bin der Meinung das uns das helfen könnte.
Welche Software gibt es denn die eine Verschlüsselung erkennt?
nice greetz jojo
Im Bezug auf App Locker habe ich das Problem das wir aktuell größtenteils Windows Pro verwenden und es dort nicht funktioniert. Ich habe mir Lösungen von Trend Micro (Application Control) angesehen und bin der Meinung das uns das helfen könnte.
Welche Software gibt es denn die eine Verschlüsselung erkennt?
nice greetz jojo
Die Verhaltensüberwachung von Trend Micro erkennt Dateiverschlüsselung (unauthorized file encryption).
Gruß Christian
Gruß Christian
Aber Software restriction Policies sind in auch in der Pro-Edition möglich - fast das Selbe, etwas aufwendiger zu administrieren.
Erkennung von Verschlüsselung: (Achtung, Betastatus!) http://www.heise.de/download/malwarebytes-anti-ransomware-1197390.html
Erkennung von Verschlüsselung: (Achtung, Betastatus!) http://www.heise.de/download/malwarebytes-anti-ransomware-1197390.html
Moin,
ich kenne genug Unternehmen, die mittlerweile Mailanhänge rigoros blocken, also nicht mal mehr in Quarantäne nehmen. Besonders sensible Unternehmen sperren da auch PDFs.
Wenn Office-Dokumente ausgetauscht werden sollen (mit oder ohne Makros) dann soll das bitte auf geregeltem Weg passieren;gibt da ja nun wirklich genug Wege. Das mag für den Anwender zwar umständlicher erscheinen, aber dann denkt er vielleicht mal 3 Sekunden darüber nach, was das für ein Dokument sein soll, aus welcher Quelle das ist und ob es unter Umständen eine Bedrohung darstellt.
Gruß
Bernhard
ich kenne genug Unternehmen, die mittlerweile Mailanhänge rigoros blocken, also nicht mal mehr in Quarantäne nehmen. Besonders sensible Unternehmen sperren da auch PDFs.
Wenn Office-Dokumente ausgetauscht werden sollen (mit oder ohne Makros) dann soll das bitte auf geregeltem Weg passieren;gibt da ja nun wirklich genug Wege. Das mag für den Anwender zwar umständlicher erscheinen, aber dann denkt er vielleicht mal 3 Sekunden darüber nach, was das für ein Dokument sein soll, aus welcher Quelle das ist und ob es unter Umständen eine Bedrohung darstellt.
Gruß
Bernhard
Genau so würde ich das auch gerne machen. Nur leider sind es ja meist die Chefs, die zuerst jammern, weil ihnen ein Freund keine Urlaubsfotos mehr in die Firma schicken kann.
Moin,
.
Andererseits sehe ich in bitmaps jetzt nicht so dolle den Dämon, wenn der Filter sowohl die name extension als auch Dateitypen prüft. An *pdf komme ich nicht vorbei - da kann ich dann auch gleich einen Brieftaubenschlag installieren. Und no risc, no fun
LG, Thomas
Nur leider sind es ja meist die Chefs, die zuerst jammern, weil ihnen ein Freund keine Urlaubsfotos mehr in die Firma schicken kann.
einfach selber Chef werden .Andererseits sehe ich in bitmaps jetzt nicht so dolle den Dämon, wenn der Filter sowohl die name extension als auch Dateitypen prüft. An *pdf komme ich nicht vorbei - da kann ich dann auch gleich einen Brieftaubenschlag installieren. Und no risc, no fun
LG, Thomas
War ich schon. Ich war allerdings auch so ein Chef
OT: Ich würde die Anhänge aus Mails nur zu gerne ganz los werden. Wenn ich schätzen müsste, würde ich sagen, das sich 80% der Informationen dieser Firma nicht auf einem Fileserver befinden, sondern in aufgeblasenen Mailpostfächern. Keine Ahnung wie die Leute damit arbeiten können.
Andererseits sehe ich in bitmaps jetzt nicht so dolle den Dämon, wenn der Filter sowohl die name extension als auch Dateitypen prüft. An *pdf komme ich nicht vorbei - da kann ich dann auch gleich einen Brieftaubenschlag installieren. Und no risc, no fun
Soweit teile ich deine Meinung.OT: Ich würde die Anhänge aus Mails nur zu gerne ganz los werden. Wenn ich schätzen müsste, würde ich sagen, das sich 80% der Informationen dieser Firma nicht auf einem Fileserver befinden, sondern in aufgeblasenen Mailpostfächern. Keine Ahnung wie die Leute damit arbeiten können.
Hi,
Außer, dass die Mitarbeiter für die Problematik sensibilisert werden, sollte auf jeden Fall sollte sichergestellt werden, dass auf den Windows-Rechnern bekannte Dateitypen NICHT ausgeblendet werden. Das Ausblenden ist dummerweise die von MS vorgegebene Standardeinstellung.
Da verlangt doch in einem Thread bei CB ein nach eigener Aussage Nicht-Profi nach einer Lösung, wie er eine von seinen Admins vorgegebene GPO aushebeln kann. Und das bloß, weil er es nicht ertragen kann, die Dateinamenerweiterungen sehen zu müssen. Seine Reaktion auf die Warnungen anderer Foristen (außer meiner) war auch bezeichnend.
Gruß, Nemo-G
Außer, dass die Mitarbeiter für die Problematik sensibilisert werden, sollte auf jeden Fall sollte sichergestellt werden, dass auf den Windows-Rechnern bekannte Dateitypen NICHT ausgeblendet werden. Das Ausblenden ist dummerweise die von MS vorgegebene Standardeinstellung.
Da verlangt doch in einem Thread bei CB ein nach eigener Aussage Nicht-Profi nach einer Lösung, wie er eine von seinen Admins vorgegebene GPO aushebeln kann. Und das bloß, weil er es nicht ertragen kann, die Dateinamenerweiterungen sehen zu müssen. Seine Reaktion auf die Warnungen anderer Foristen (außer meiner) war auch bezeichnend.
Gruß, Nemo-G
"Jein" nach meiner Erfahrung.
Virenschutz und Konsorten hängen immer hinterher.
Was Du tun kannst:
Virenschutz und Konsorten hängen immer hinterher.
Was Du tun kannst:
- Briefe die Mitarbeiter. Das wäre die Langzeitprophylaxe.
- Filtere auf dem Emailweg heraus: Scripts, ausführbare Dateien, Office-Dateien mit Macros (schau Dir mal das E.F.A. project an). Stelle sicher, dass auch in Archiven nach diesen Dateitypen gesucht wird.
- Wenn Du keine *.js oder *.vbs-Scripts im Einsatz hast, deaktiviere doch per Gruppenrichtlinie den Windows-Scripting-Host. Dann werden diese Dateien nicht mehr ausgeführt werden und verhalten sich wie Textdateien. http://www.windowspage.de/tipps/021421.html
Zitat von @keine-ahnung:
An *pdf komme ich nicht vorbei - da kann ich dann auch gleich einen Brieftaubenschlag installieren. Und no risc, no fun
An *pdf komme ich nicht vorbei - da kann ich dann auch gleich einen Brieftaubenschlag installieren. Und no risc, no fun
Aufpassen: Wenn die Brieftauben sich an RFC1149 halten, hast Du Dir damit nur eine Hintertür für das Ransom-Gewürm eingehandelt. Das zeigt wieder mal, daß Du Deinem Nick alle Ehre machst.
lks
Mensch, LKS
.
LG, Thomas
Das zeigt wieder mal, daß Du Deinem Nick alle Ehre machst.
heute liegst Du aber sowas von daneben ...BLUG in cooperation with Vesta Brevdueforening has given you rfc 1149 support for Linux.
Ich habe gar kein Linux ... .LG, Thomas
Zitat von @keine-ahnung:
.
BLUG in cooperation with Vesta Brevdueforening has given you rfc 1149 support for Linux.
Ich habe gar kein Linux ... .IIRC hat einer das für Windows auch schon implementiert, finde aber gerade keinen Link. Jedenfalls solltest Du Dir das gut überlegen, wenn Du die Brieftauben nicht zum Essen sondern zum Datenaustausch verwenden willst.
lks
IIRC hat einer das für Windows auch schon implementiert, finde aber gerade keinen Link.
Ich schreibe gerade am Quellcode ....wenn Du die Brieftauben nicht zum Essen sondern zum Datenaustausch verwenden willst.
Es gibt auch Tauben mit Doppelfunktion! Aus ökonomischer Sicht empfiehlt sich aber eine genaue Beachtung der im CPIP empfohlenen Verwendungsreihenfolge ... die Transportleistung verhält sich nämlich umgekehrt kongruent zum Garungsgrad.LG, Thomas
He, Ihr Taubenzüchter, ist die PN-Funktion defekt? Dann schickt doch Tauben hin und her, auch die brauchen Bewegung.
Zitat von @DerWoWusste:
He, Ihr Taubenzüchter, ist die PN-Funktion defekt? Dann schickt doch Tauben hin und her, auch die brauchen Bewegung.
He, Ihr Taubenzüchter, ist die PN-Funktion defekt? Dann schickt doch Tauben hin und her, auch die brauchen Bewegung.
Ich habe keine mehr. die sind alle aufgegessen.
lks
PS: Der Hinweis auf den RFC war indirekt der Tipp, sich nicht in Sicherheit zu wiegen, wenn man den "Übertragungsweg" ändert, z.B. Sticks statt Email benutzt also schon gewisserweise noch on-topic.
Moin
! Und wo bleibt der Respekt vor unserem Greisenalter??
Im Vorfeld hatte ich mir überlegt, eine endpoint-security-appliance-Lösung und einen vernünftigen Spam-Filter zu kaufen.
Dann habe ich mich aber doch erstmal durchgerungen, mein worryfree advanced von release 7.0 auf 9.2 hochzuzerren ... alter Schwede! Für so kleine Krauter wie mich haben die da ordentlich dran rumgeschraubt: wuchtiger content-filter, email-security vom Feinsten, encryption-protection, software restriction policies sind möglich, eine basale endpoint security (für flash-Speicher) ist dabei und, und, und - Respekt. Und das für brutto 22 Euronen pro Arbeitsplatz und anno. Ist übersichtlich zu konfigurieren, hat mich alles in allem 2 oder 3 Stunden gekostet. Hier muss ich dann doch mal ein Produkt empfehlen - ob das alles so funktioniert? Keine-ahnung! Sieht aber zumindest erstmal prima aus und man kann wieder besser schlafen.
Und ausserdem habe ich jetzt wieder mehr zeitliche Freiräume für die Idee mit den Täubchen ...
LG, Thomas
He, Ihr Taubenzüchter, ist die PN-Funktion defekt?
um die Zeit mit dem falschen Bein aufzustehen muss man auch erstmal schaffen ! Und wo bleibt der Respekt vor unserem Greisenalter??sich nicht in Sicherheit zu wiegen, wenn man den "Übertragungsweg" ändert, z.B. Sticks statt Email
Ist bei mir ja eher inpraktikabel ... und auch (fast) unmöglich. Eigentlich müsste ich Locky & Co. auch eher dankbar sein, da ich mir dadurch seit Jahren mal wieder ernsthafte Gedanken um meine Sicherheitsstrukturen gemacht habe.Im Vorfeld hatte ich mir überlegt, eine endpoint-security-appliance-Lösung und einen vernünftigen Spam-Filter zu kaufen.
Dann habe ich mich aber doch erstmal durchgerungen, mein worryfree advanced von release 7.0 auf 9.2 hochzuzerren ... alter Schwede! Für so kleine Krauter wie mich haben die da ordentlich dran rumgeschraubt: wuchtiger content-filter, email-security vom Feinsten, encryption-protection, software restriction policies sind möglich, eine basale endpoint security (für flash-Speicher) ist dabei und, und, und - Respekt. Und das für brutto 22 Euronen pro Arbeitsplatz und anno. Ist übersichtlich zu konfigurieren, hat mich alles in allem 2 oder 3 Stunden gekostet. Hier muss ich dann doch mal ein Produkt empfehlen - ob das alles so funktioniert? Keine-ahnung! Sieht aber zumindest erstmal prima aus und man kann wieder besser schlafen.
Und ausserdem habe ich jetzt wieder mehr zeitliche Freiräume für die Idee mit den Täubchen ...
LG, Thomas
Tag
Folgendes habe ich aufgerüstet:
1. https://www.frankysweb.de/windows-fileserver-vor-ransomware-crypto-locke ...
2. Zusätzlich zu den üblichen verbotenen Dateiendungen wie EXE, BAT, etc werden bei mir nun alle Pack-Formate (ZIP, RAR, etc.) sowie alle Office-Dokumente, die Makros enthalten könnten (doc, xls, ppt, docm, xlsm, pptm, etc) vom Spamfilter blockiert, und zwar unabhängig davon, ob der Absender auf der Whitelist ist oder nicht. Erlaubt sind bei den Office-Dokumenten nur noch docx, xlsx, pptx etc.
3. Den Trendmicro auf die neuste Version gepatcht und auf jeder Kiste läuft nun am Mittag noch ein Vollscan zusätzlich zum Echtzeitscanner
4. Nochmals durchgegangen, wer alles lokale Adminrechte besitzt und alle bis auf die IT Mitarbeiter entfernt.
5. Die Schreibrechte auf den Netzlaufwerken detaillierter segmentiert und drastisch zurückgefahren.
6. Patch-Management hochgeschraubt. Statt einem Sammel-Patchday pro Quartal werden die heiklen Applikationen wie Adobe Reader, Flash Player, Java, etc. jetzt einen Tag nach Veröffentlichung ausgerollt. Bei den Benutzern werden bei solchen Patches über den Mittag die Browser und der Adobe Reader nach Vorankündigung automatisch abgeschossen, damit die Patches sauber reingehen. WSUS auf Automatik gestellt. Vorher habe ich die Installation mittels Softwareverteilung zeitgesteuert angestossen, jetzt macht mein WSUS das direkt.
Folgendes habe ich aufgerüstet:
1. https://www.frankysweb.de/windows-fileserver-vor-ransomware-crypto-locke ...
2. Zusätzlich zu den üblichen verbotenen Dateiendungen wie EXE, BAT, etc werden bei mir nun alle Pack-Formate (ZIP, RAR, etc.) sowie alle Office-Dokumente, die Makros enthalten könnten (doc, xls, ppt, docm, xlsm, pptm, etc) vom Spamfilter blockiert, und zwar unabhängig davon, ob der Absender auf der Whitelist ist oder nicht. Erlaubt sind bei den Office-Dokumenten nur noch docx, xlsx, pptx etc.
3. Den Trendmicro auf die neuste Version gepatcht und auf jeder Kiste läuft nun am Mittag noch ein Vollscan zusätzlich zum Echtzeitscanner
4. Nochmals durchgegangen, wer alles lokale Adminrechte besitzt und alle bis auf die IT Mitarbeiter entfernt.
5. Die Schreibrechte auf den Netzlaufwerken detaillierter segmentiert und drastisch zurückgefahren.
6. Patch-Management hochgeschraubt. Statt einem Sammel-Patchday pro Quartal werden die heiklen Applikationen wie Adobe Reader, Flash Player, Java, etc. jetzt einen Tag nach Veröffentlichung ausgerollt. Bei den Benutzern werden bei solchen Patches über den Mittag die Browser und der Adobe Reader nach Vorankündigung automatisch abgeschossen, damit die Patches sauber reingehen. WSUS auf Automatik gestellt. Vorher habe ich die Installation mittels Softwareverteilung zeitgesteuert angestossen, jetzt macht mein WSUS das direkt.
7. Die Makros deaktiviert bei allen Office-Programmen (via GPO)
Moin,
. Geht also nicht ...
Aber alles in allem scheint dank Locky das Thema Sicherheit wieder ein Stück weit vordergründiger zu werden - ich bin dabei!
LG, Thomas
Die Makros deaktiviert bei allen Office-Programmen (via GPO)
dann könnte ich keine Arztbriefe mehr schreiben, die sich Infos aus der Praxisverwaltung ziehen . Geht also nicht ...die heiklen Applikationen wie ... Flash Player
Wer in drei Teufels Namen braucht das Teil auf Arbeit?Die Schreibrechte auf den Netzlaufwerken detaillierter segmentiert und drastisch zurückgefahren
Da würde meine Praxisverwaltung die weisse Fahne schwenken ...Aber alles in allem scheint dank Locky das Thema Sicherheit wieder ein Stück weit vordergründiger zu werden
- ich bin dabei!LG, Thomas
die heiklen Applikationen wie ... Flash Player
Wer in drei Teufels Namen braucht das Teil auf Arbeit?Ich. VMWare Web Client (leider)....
Wie die armen Schweine, die eine ältere Version von Sharepoint nutzen und Silverlight auf Ihrem Rechner haben müssen......
- Filterung aller ausführbaren Anhänge
- keine lokalen Adminrechte
- aktuell gehaltener Virenscanner
- Ausführungsverhinderung von nicht signierten Makros (und es nicht dem Nutzer freizustellen das auszuschalten)
- unterschiedliche Passwörter für lokale Admins auf Servern
- Awareness-Maßnahmen bei den Mitarbeitern (auch den Admins!)
Das ist alles gut und richtig für die Prävention, nichts davon bietet 100% Schutz.
Whitelisting von Anwendungen übrigens auch nicht, macht aber viel Mühe (ok, bringt auch viel!).
Das gehört alles zur Kategorie Schadensverhinderung. Die wichtigste Maßnahme zur Schadensminimierung im Schadfall hat aber noch keiner genannt:
Ein stets aktuelles B A C K U P - natürlich offline. Schattenkopien werden von den Cryptolockern in der Zwischenzeit auch angegriffen, mein Backupserver ist ggf. ebenfalls betroffen. Die Bandsicherungen im Tresor geben mir da mehr als nur ein gutes Gefühl. Auch hier ist die Awareness aber entscheidend. Dem Anwender muss klar sein, dass lokal nichts gesichert wird.
Ebenfalls nicht schlecht ist eine Alarmfunktion. Ich habe neulich von dem Ansatz gehört, den Fileserver Resource Manager bei bestimmten Dateiendungen Alarm schlagen zu lassen. Hilft natürlich nur, wenn man die Liste der Endungen auch der aktuellen Bedrohungslage anpasst und nur gegen die Schädlinge, die die Verschlüsselung zunächst in eine Kopie legen.
Also, meine Nummer 1 bleibt Backup!
Jens
- keine lokalen Adminrechte
- aktuell gehaltener Virenscanner
- Ausführungsverhinderung von nicht signierten Makros (und es nicht dem Nutzer freizustellen das auszuschalten)
- unterschiedliche Passwörter für lokale Admins auf Servern
- Awareness-Maßnahmen bei den Mitarbeitern (auch den Admins!)
Das ist alles gut und richtig für die Prävention, nichts davon bietet 100% Schutz.
Whitelisting von Anwendungen übrigens auch nicht, macht aber viel Mühe (ok, bringt auch viel!).
Das gehört alles zur Kategorie Schadensverhinderung. Die wichtigste Maßnahme zur Schadensminimierung im Schadfall hat aber noch keiner genannt:
Ein stets aktuelles B A C K U P - natürlich offline. Schattenkopien werden von den Cryptolockern in der Zwischenzeit auch angegriffen, mein Backupserver ist ggf. ebenfalls betroffen. Die Bandsicherungen im Tresor geben mir da mehr als nur ein gutes Gefühl. Auch hier ist die Awareness aber entscheidend. Dem Anwender muss klar sein, dass lokal nichts gesichert wird.
Ebenfalls nicht schlecht ist eine Alarmfunktion. Ich habe neulich von dem Ansatz gehört, den Fileserver Resource Manager bei bestimmten Dateiendungen Alarm schlagen zu lassen. Hilft natürlich nur, wenn man die Liste der Endungen auch der aktuellen Bedrohungslage anpasst und nur gegen die Schädlinge, die die Verschlüsselung zunächst in eine Kopie legen.
Also, meine Nummer 1 bleibt Backup!
Jens
Hallo, danke für dieses Thema. Da Cryptolocker sehr böse Trojaner. Hier ist meine Strategie: dieser Virenscanner linkmailer.de/viren/crypt0l0cker + meine Arbeitskopf))
Moin,
+ meine Arbeitskopf
was habe google-translator da wieder translatiert? Mache Werbung intelligenter ...
